「Apache Hive」にユーザー定義関数を上書きされる脆弱性
「Apache Hive」の「ユーザー定義関数(UDF)」の機能に脆弱性が含まれていることが明らかとなった。4月にリリースされた「同3.1.3」にて修正済みだという。
「同3.1.2」および以前のバージョンでは、「CREATE」および「DROP」関数の操作において権限チェックの不備「CVE-2021-34538」が存在するもので、開発チームが7月16日に明らかにした。
脆弱性を悪用することで、認証や権限を持たないユーザーによって既存のユーザー定義関数を削除したり、あらたにjarファイルを指定するユーザー定義関数を再作成することが可能だという。
開発チームでは、脆弱性の重要度を「とても重要(Very Important)」とレーティング。米国立標準技術研究所(NIST)の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.5」と評価している。
CVE番号は2021年6月に採番されており、開発チームによれば、現地時間2022年4月8日にリリースした「同3.1.3」で修正済みだとしている。「同4.0」のベータ版でも対応しており、GA版においても修正が反映される見込み。
(Security NEXT - 2022/07/28 )
ツイート
関連リンク
PR
関連記事
情報公開請求への対応で個人情報が流出 - 橿原市
応募フォームで個人情報が閲覧可能に - 東京都交通局
サイトに不正アクセス、リンクの書き込み - 三重県立総合医療センター
教委メールサーバ、不正中継でスパム踏み台に - 豊見城市
「MS Edge」にアップデート - 「クリティカル」とされる脆弱性を解消
NTT西の固定電話で一時通信障害 - ネット接続は影響なし
Samsung製スマホなどの既知脆弱性が攻撃の標的に - 米政府が注意喚起
Google、長期間放置アカウントを削除へ - 悪用防止対策で
米政府、ランサムウェア対応ガイドの改訂版を公開
未知の脆弱性で生じた通信障害、NTT東西に行政指導